字数
5878 字
阅读时间
23 分钟
语音可控设备（VCD）网络安全深度调查报告
版本: 1.0 日期: 2025年8月4日 撰写人: 网络安全分析部
摘要
本报告旨在全面剖析中国市场主流语音可控设备（VCD）面临的核心安全风险，系统评估其安全控制技术现状，并结合相关法规标准，为设备制造商、用户及监管机构提供前瞻性的安全挑战分析与可执行的改进建议。报告发现，当前VCD面临来自物理层和应用层的多重攻击向量，包括语音欺骗、隐蔽指令注入和自激活攻击等。虽然声纹识别、活体检测等防御技术在不断发展，但主流产品的安全防护水平参差不齐，且相关安全标准体系建设滞后于市场发展，整体安全形势不容乐观。
1. 引言
1.1. 研究背景
近年来，以智能音箱、智能家居中控和智能汽车语音助手为代表的语音可控设备（Voice-Controlled Devices, VCDs）在中国市场的渗透率迅速增长。VCD已成为物联网（IoT）生态的核心入口，承载着海量的用户个人敏感信息（如身份、位置、偏好）和关键的设备控制权限（如门锁、支付）。然而，语音这一新兴的人机交互界面带来了独特的安全脆弱性，针对VCD的攻击技术日趋成熟，相关安全事件频发，对用户隐私和财产安全构成了严重威胁。
1.2. 报告目的与意义
- 目的：系统性揭示VCD面临的安全风险，客观评估现有防御机制的有效性，并提出一套综合性的安全强化策略。
- 意义：提升产业界对VCD安全的认知水平，推动相关安全技术与最佳实践的落地，促进国家及行业标准的完善，最终保障数字经济环境下用户的核心利益。
1.3. 研究范围
- 地域范围：重点关注中国大陆市场。
- 产品范围：以主流智能音箱为核心分析对象，辐射智能家居和智能汽车中的语音助手。主要案例涉及小米小爱同学、百度小度、阿里天猫精灵及华为小艺。
- 技术范围：聚焦于语音通道攻击（如语音欺骗、指令注入）、对抗性攻击、关键防御技术（如活体检测、自激活防御）及相关的安全标准与法规。
1.4. 报告结构
本报告共分为七个部分。首先剖析VCD面临的各类安全风险；其次介绍关键的安全控制技术；再次，对中国市场主流产品进行安全评估；随后梳理相关的法规与标准；接着，提出对未来的挑战分析与发展建议；最后，提供本报告的参考文献。
2. VCD安全风险深度剖析
VCD的攻击面广泛，涵盖了从物理环境到云端应用的整个链路。攻击者可利用多种手段绕过认证，注入恶意指令。下图直观地展示了VCD面临的核心攻击向量。
图1：VCD综合攻击向量图
2.1. 语音欺骗攻击 (Voice Spoofing Attacks)
此类攻击旨在通过伪造或模仿合法用户的声音来欺骗系统。
- 2.1.1. 录音重放攻击 (Replay Attack)：最简单的攻击形式，攻击者播放预先录制的合法用户语音指令。
- 2.1.2. 语音合成攻击 (Speech Synthesis / TTS)：利用文本转语音（TTS）技术，攻击者可以生成任意内容的恶意指令音频。
- 2.1.3. 语音转换攻击 (Voice Conversion)：利用先进的算法，将攻击者的声音特征转换为目标用户的声纹，从而生成高度逼真的伪造语音，用以绕过声纹识别系统。
2.2. 指令注入攻击 (Command Injection)
此类攻击通过人耳无法感知或识别的信道将指令“注入”设备麦克风。
2.2.1. 隐蔽信道攻击 (Covert Channel)
- 超声波攻击：将语音指令调制到人耳无法感知的超声波频段（>20kHz）。设备麦克风由于其非线性特性，仍能接收并解调出指令。现实案例：“海豚音” (DolphinAttack) 攻击，研究人员成功利用该技术对车载语音助手和主流智能音箱下达了静默指令。
- 光命令攻击 (Light Commands)：使用激光束的强度变化直接照射设备的MEMS麦克风振膜，模拟声波振动，从而实现无声指令注入。
- 固态介质传导攻击 (SurfingAttack)：通过桌子等固体表面传导超声波指令，并利用设备振动反馈实现双向隐蔽通信，可用于窃取短信验证码等敏感信息。
2.2.2. 对抗性样本攻击 (Adversarial Attack)
- 攻击者在看似无害的音频（如音乐、白噪音）中嵌入经过精心设计的微小扰动。这些扰动人耳无法察觉，但能导致设备的自动语音识别（ASR）引擎产生误判，将其识别为恶意指令。现实案例：CommanderSong 攻击，成功在歌曲中隐藏了可被多种设备执行的指令。
2.3. 自激活攻击 (Self-Activation Attacks)
- 原理：利用设备自身扬声器播放含有恶意指令的音频，该音频随即被设备自身的麦克风拾取并执行，形成一个“自我攻击”的闭环。其核心漏洞在于设备无法区分指令声源是来自外部用户还是自身。
- 现实案例：Alexa vs Alexa (AvA) 攻击，研究人员演示了通过蓝牙连接、恶意的第三方技能（Skill）中的SSML（语音合成标记语言）标签、或恶意网络电台流等多种向量，实现对设备的自我控制。
2.4. 隐私泄露风险 (Privacy Leakage)
- 2.4.1. 窃听与数据滥用：设备在休眠或非唤醒状态下违规收集环境音频数据；或将合法收集的用户语音数据用于精准广告推送等超出用户授权范围的商业目的。
- 2.4.2. 数据传输不安全：根据中国信通院的测试，高达60%的受测音箱使用不安全的传输协议（如HTTP明文传输），导致用户账户、Wi-Fi密码、语音记录等敏感信息在传输过程中可被中间人轻易窃取。
- 2.4.3. 固件与应用漏洞：设备固件和配套App缺乏安全加固。信通院报告显示，90%的受测产品固件更新机制存在漏洞（如无签名校验），易被劫持并植入恶意固件；80%的配套App未做加固，易被逆向破解，从而提取API密钥等核心信息。
2.5. 攻击模型分析：HAVOC Kill Chain
HAVOC (Hostile Activities on the Voice Channel) 攻击链模型为理解针对VCD的攻击提供了标准化框架：
- 侦察 (Reconnaissance)：识别目标设备型号、固件版本及已知漏洞。
- 音频武器化 (Audio Weaponization)：制作恶意音频载荷，如通过TTS合成指令，或将其嵌入超声波、对抗性噪声等载体。
- 初始立足点 (Initial Foothold)：通过特定载体（如蓝牙、SSML标签、激光）将恶意音频传递给目标设备并触发其语音助手。
- 漏洞利用 (Exploitation)：执行具体恶意操作，如利用逻辑漏洞安装恶意技能、发起购物请求。
- 持久化 (Persistence)：通过安装伪装的恶意技能等方式，维持对设备的长期控制，并可能建立与攻击者C2服务器的通信。
- 目标行动 (Actions on Objectives)：实现最终攻击目的，如窃取个人身份信息（PII）、进行金融欺诈、控制智能门锁等。
3. 关键安全控制技术
为应对上述风险，学术界和产业界已研发出多层级的防御技术。一个先进的VCD防御体系应整合信号处理、机器学习和命令验证等多个模块。
图2：先进VCD防御体系架构图
3.1. 用户身份认证 (Authentication)
- 3.1.1. 声纹识别 (ASV - Automatic Speaker Verification)：通过分析用户声音的独特生物特征（声纹）来进行身份验证。这是防御非目标用户、基础语音模仿和合成攻击的第一道防线。
- 3.1.2. 多因素认证 (MFA)：对于支付、开锁、修改密码等高风险操作，强制要求除语音外的第二种认证因素，如输入PIN码、手机App确认或面部识别等。
3.2. 活体检测技术 (Liveness Detection)
活体检测旨在区分真人语音与通过扬声器播放的录音或合成语音。
- 3.2.1. 声学特征分析：通过分析音频在特定频段（如次声波）的能量分布、频谱特性或呼吸声等生理声学特征，来判断声源是否为真人。
- 3.2.2. 多模态融合检测：结合其他传感器的信息来增强判断的准确性。例如，利用麦克风阵列进行声源定位，或利用可穿戴设备（如腕带）的传感器捕捉喉部振动。
- 3.2.3. 最新研究进展：孪生神经网络 (Twin Neural Network)：此方案专为防御自激活攻击而设计。通过对比设备“即将播放的音频”与“麦克风录制的音频”的梅尔频谱图相似度，能以接近100%的准确率高效检测攻击。该模型资源消耗低，非常适合在边缘设备上部署。
3.3. 对抗性攻击防御
- 3.3.1. 对抗性训练：在模型训练阶段，主动将大量对抗样本加入训练集，从而提升模型对微小扰动的鲁棒性。
- 3.3.2. 输入预处理：在音频输入到ASR模型前，对其进行平滑、滤波、压缩或重构等操作，以期破坏或消除对抗性扰动。
- 3.3.3. 硬件级防御：在麦克风硬件层面增加物理滤波器，直接阻断超声波等特定频段的信号传入。
3.4. 数据加密与隐私保护
- 3.4.1. 端到端加密：确保设备、App与云平台之间的所有通信链路均采用TLS 1.2及以上等强加密协议，并进行双向身份认证。
- 3.4.2. 本地数据安全存储：使用安全芯片（SE）或可信执行环境（TEE）来存储密钥、声纹等最敏感的数据。对闪存中的固件和用户数据进行整体加密，防止物理接触破解。
- 3.4.3. 隐私合规设计 (Privacy by Design)：遵循数据最小化原则，仅收集实现功能所必需的数据。在隐私政策中清晰、明确地告知用户数据的收集范围、目的和使用方式，并为用户提供便捷的数据访问、管理和删除选项。
3.5. 安全-可用性平衡框架 (Security-Usability Framework)
在设计安全策略时，必须权衡安全性与可用性，尤其要考虑到言语障碍者对语音生成设备（SGD）的依赖。一个四级框架可用于指导策略选择：
| 安全等级 | 描述与策略 | 适用场景与影响 |
|---|---|---|
| Level 0 | 无防护：接受所有来源的命令。 | 风险最高，但对所有用户（包括SGD用户）完全可用。 |
| Level 1 | 自激活防御：拦截来自设备自身的命令，但允许外部合成语音。 | 推荐的平衡点。能防御AvA等攻击，同时保障SGD用户的权利。 |
| Level 2 | 可信合成语音：仅接受白名单内的合成声纹。 | 面向对安全有更高要求的SGD用户，但技术挑战大。 |
| Level 3 | 最高安全：仅接受通过活体检测的真人语音。 | 用于高度敏感环境，但完全牺牲了SGD用户的可用性。 |
4. 中国市场主流VCD产品安全评估
4.1. 评估方法说明
免责声明：由于制造商通常不公开其详细的安全架构和技术实现，本节评估主要基于公开资料、中国信通院等第三方机构的通用测评报告、已披露的漏洞信息以及公开的用户反馈进行推断性分析。评估结果旨在揭示共性问题，不代表对任何单一产品的最终评判。
4.2. 通用安全现状（基于中国信通院《智能音箱安全白皮书》）
- 硬件层：普遍存在安全短板。约70%的设备暴露了JTAG、UART等调试接口，90%的设备存储芯片未加密，攻击者通过物理接触可相对容易地提取固件和敏感数据。
- 系统层：操作系统和固件更新机制是重灾区。90%以上的设备固件更新过程缺乏严格的签名校验，易遭受中间人攻击，被植入恶意固件。
- 通信层：部分产品仍在使用不安全的HTTP协议传输数据，约60%的设备存在数据明文传输风险，包括OTA升级包的URL。
- 应用层：配套的手机App普遍缺乏安全加固措施，约80%的应用可被轻易反编译和重打包，为植入恶意代码、窃取用户账户信息打开了方便之门。
4.3. 主流产品安全风险推断
图3：主流VCD产品安全特性对比推断
- 小米小爱同学：作为小米智能家居生态的核心中枢，其控制着数量庞大的IoT设备。一旦小爱同学被攻破，可能引发连锁安全事件，其IoT通信协议的安全性是关注焦点。
- 百度小度：在带屏音箱市场占据领先地位，屏幕引入了新的攻击面（如浏览器漏洞、触控劫持）。其丰富的内容和第三方技能生态，对其安全审核能力提出了更高要求。
- 阿里天猫精灵：与电商和支付功能紧密结合，使其面临的金融安全风险尤为突出。曾有用户反馈其设备“半夜自言自语”，这可能指向潜在的自激活漏洞或系统异常。
- 华为小艺：依托鸿蒙（HarmonyOS）的分布式安全能力是其差异化优势。理论上能提供更强的端到端安全保障，但生态的复杂性也带来了新的集成安全挑战。
4.4. 综合风险等级评估 (初步)
综合来看，中国市场主流VCD产品在功能迭代和市场扩张上投入巨大，但在基础安全防护和深度防御技术应用上仍存在普遍短板。虽然部分厂商已开始部署声纹识别等技术，但整体防护水平仍有较大提升空间。因此，当前市场主流VCD产品的综合安全风险等级可初步评估为中到高。
5. 相关标准与法规
5.1. 国家标准 (GB)
- GB/T 21023-2007 《中文语音识别系统通用技术规范》
- GB/T 35312-2017 《中文语音识别终端服务接口规范》
- GB/T 41387-2022 《信息安全技术 智能家居安全通用技术要求》
5.2. 行业与团体标准
- 中国信通院（CAICT）牵头制定的 TAF标准 《智能音箱产品安全能力技术要求和测试方法》（征求意见稿），是目前针对性最强的行业标准草案。
- 全国信息安全标准化技术委员会（TC260）发布的一系列通用规范，如《信息安全技术 个人信息安全规范》、《信息安全技术 移动互联网应用程序（App）收集使用个人信息自评估指南》等，对VCD的隐私保护具有指导意义。
5.3. 相关法律法规
- 《中华人民共和国网络安全法》
- 《中华人民共和国数据安全法》
- 《中华人民共和国个人信息保护法》
5.4. 现状分析
目前，我国已具备宏观的法律框架和基础性的技术规范。然而，严重缺乏针对VCD语音通道攻击、AI模型安全、活体检测、自激活防御等新兴风险的强制性、精细化国家标准。现有标准体系的建设速度，已明显滞后于技术创新和市场发展的步伐，导致监管和评测缺乏明确依据。
6. 未来挑战与发展建议
6.1. 面临的核心挑战
- 技术挑战：如何有效防御日益复杂的对抗性攻击、跨模态攻击（如光、固态介质），以及如何精准辨别AI生成内容（AIGC）的真伪。
- 生态挑战：如何对海量的第三方技能和接入的IoT设备进行有效的安全管控，以及如何清晰界定生态各方的安全责任。
- 标准挑战：安全标准的缺失、滞后与不具强制性，导致行业安全水位线难以有效提升。
- 用户挑战：普通用户普遍缺乏对新型语音攻击的认知，难以主动采取有效的防范措施。
6.2. 对设备制造商的建议
- 贯彻安全左移 (Shift Left)：将安全融入产品设计、研发、测试、运维的全生命周期（DevSecOps），而非事后补救。
- 加大技术投入：积极研发并部署活体检测、抗对抗攻击、自激活防御等核心安全技术，尽快推动产品安全等级从 Level 0 向 Level 1 迁移，实现基础的“自我保护”。
- 拥抱透明化：主动公开产品的安全与隐私保护策略，建立并运营漏洞披露平台（VDP），与安全社区建立良性互动。
- 强化生态治理：建立严格的第三方技能和IoT设备接入安全审核机制，提供安全开发套件（SDK），并对生态伙伴进行赋能和监督。
6.3. 对用户的建议
- 提升安全意识：了解VCD可能存在的安全风险，不轻易将设备放置在卧室等高度私密空间。
- 用好安全设置：开启声纹验证、支付保护等安全功能；定期审查并关闭不必要的设备权限和第三方技能授权；不使用弱密码。
- 保持及时更新：始终保持设备固件和手机App为最新版本，以获取最新的安全补丁。
6.4. 对监管机构的建议
- 加快标准制定：尽快组织产学研用各方力量，出台针对VCD AI安全、语音通道安全、活体检测能力等的强制性国家标准或行业标准。
- 强化市场监管：建立常态化的VCD产品安全抽检和认证机制，向社会通报不合规产品，形成有效市场监督压力。
- 推动行业协作：鼓励建立行业级的威胁情报共享平台（ISAC）和应急响应联盟，共同应对大规模、有组织的网络攻击。
7. 参考文献
- 中国信息通信研究院. (2019). 互联网设备智能音箱安全白皮书.
- Zhang, G., Yan, C., Ji, X., Zhang, T., Zhang, T., & Xu, W. (2017). DolphinAttack: Inaudible Voice Commands. Proceedings of the 2017 ACM SIGSAC Conference on Computer and Communications Security.
- Aldebei, T., Koutsonikola, V., & Soltanaghai, E. (2023). Hearing Your Voice is Not Enough: An Attack on Voice-Controlled Systems. Proceedings of the 22nd ACM Workshop on Wireless Security.
- 徐东伟, 房若尘, 蒋斌, 宣琦. (2022). 语音对抗攻击与防御方法综述. 信息安全学报, 7(1), 126-144.
- 中华人民共和国国家标准. GB/T 21023-2007. 中文语音识别系统通用技术规范.
- 中华人民共和国国家标准. GB/T 41387-2022. 信息安全技术 智能家居安全通用技术要求.
- 全国信息安全标准化技术委员会. 信息安全技术 个人信息安全规范 (GB/T 35273).
贡献者
pansin